Configure o Microsoft Defender para Endpoint no Android usando gestão de aplicações móveis

O Microsoft Defender para Endpoint no Android suporta a gestão de aplicações móveis (MAM) do Microsoft Intune em dispositivos que estão ou não estão inscritos na gestão de dispositivos móveis Intune (MDM). Organizações que utilizam outra solução de gestão de mobilidade empresarial podem também usar o Intune MAM para proteger dados organizacionais em aplicações geridas.

As políticas de proteção de aplicações Intune utilizam sinais de risco de dispositivos do Defender for Endpoint para aplicar ações de lançamento condicional às aplicações geridas. As políticas de configuração da aplicação controlam funcionalidades do Defender como proteção web, proteção de rede, privacidade, digitalização de ficheiros, permissões opcionais, controlos de saída de sessão e etiquetas de dispositivos.

Este artigo descreve os pré-requisitos para administrador e utilizador final, as definições do Defender a usar nas políticas do Intune, e a experiência de integração do utilizador final.

O Microsoft Intune é a ferramenta recomendada para configurar e distribuir funcionalidades do Defender for Endpoint para dispositivos. O Intune é um produto separado que não faz parte do Defender for Endpoint. Não está incluído em todas as subscrições. Para usar o Intune, precisa de uma subscrição que o inclua, ou pode comprá-lo separadamente como subscrição autónoma ou complemento. Para obter mais informações, veja licenciamento Microsoft Intune.

O Defender for Endpoint no Android suporta as seguintes configurações MAM:

• Intune MDM com MAM: Intune faz a gestão do dispositivo e aplica políticas de proteção de aplicações às aplicações geridas.
• MAM sem registo de dispositivos: O Intune aplica políticas de proteção de aplicações a aplicações geridas em dispositivos que não estão registados no Intune. Esta configuração, também conhecida como MAM-WE, pode proteger aplicações em dispositivos inscritos num fornecedor de gestão de mobilidade empresarial de terceiros.

Use o centro de administração do Microsoft Intune para gerir aplicações em ambas as configurações.

Pré-requisitos

Pré-requisitos para administradores

Antes de os utilizadores poderem integrar o Defender for Endpoint em modo MAM, liguem o Defender for Endpoint ao Intune, ativem o conector para políticas de proteção de aplicações Android e criem uma política de proteção de aplicações.

Para configurar a integração, precisa das seguintes permissões:

• No Intune, a função de Gestor de Segurança de Pontos Finais ou permissões equivalentes para gerir as definições de Defesa contra Ameaças em Dispositivos Móveis.
• No Microsoft Entra ID, a função Administrador de Segurança, ou permissão para gerir definições de segurança no Defender for Endpoint.

Ligar o Microsoft Defender for Endpoint ao Intune

Para o procedimento completo de ligação, veja Conectar Microsoft Defender para Endpoint ao Intune.

Verifique as definições abaixo:

• No portal Microsoft Defender, na página Outras opções, confirma que a Ligação ao Microsoft Intune está Ativada.

• No centro de administração do Microsoft Intune, na página Endpoint Security | Microsoft Defender para Endpoint, verifique as seguintes definições:

  • No topo da página, o estado da ligação está Ativado.
  • Na secção de avaliação da política de Proteção de aplicações, Ligar dispositivos Android ao Defender for Endpoint está Ativado.

Criar uma política de proteção de aplicações

Políticas de proteção de aplicações são regras que protegem dados organizacionais em aplicações geridas. Uma aplicação integrada com o Intune App SDK ou envolvida pela Intune App Wrapping Tool pode ser gerida pelo Intune. Para aplicações públicas suportadas, veja aplicações protegidas pelo Microsoft Intune.

Para o procedimento completo de criação e atribuição de uma política de proteção de aplicações Android, consulte Descrição geral das políticas de proteção de aplicações. Esta página abre num novo separador na documentação do Intune.

Ao criar a política, configure estas definições específicas do Defender:

• Tipo de política: No centro de administração do Microsoft Intune, na página Apps | Proteção, selecione Criar>Android.

• Separador de aplicações : Adicione pelo menos uma aplicação gerida. Pode direcionar aplicações em dispositivos geridos, dispositivos não geridos ou dispositivos em qualquer estado de gestão.

• Separador Lançamento condicional: Na secção Condições do Dispositivo, selecione o nível máximo permitido de ameaça do dispositivo e depois configure as seguintes definições para esta opção:

  • Valor: Selecione o nível máximo de ameaça que a sua organização permite: Seguro, Baixo, Médio ou Alto.
  • Ação: Selecionar Bloquear acesso ou Apagar dados.

O Defender for Endpoint partilha o nível de ameaça do dispositivo com o Intune. Quando os utilizadores iniciam sessão numa aplicação gerida direcionada, o Intune avalia o sinal de risco do dispositivo Defender e aplica a ação configurada.

Pré-requisitos do utilizador final

Antes de os utilizadores iniciarem o processo de integração, certifique-se de que os seguintes requisitos estão cumpridos:

• O dispositivo corre Android 10.0 ou posterior.
• A aplicação intermediária Intune Portal da Empresa está instalada.
• Os utilizadores têm as licenças necessárias para a aplicação gerida.
• A aplicação gerida está instalada.

Integração do utilizador final

Quando uma aplicação gerida direcionada deteta que o Defender para Endpoint não está ativado, o Intune orienta o utilizador para instalar e ativar a aplicação Defender. Para instruções gerais de instalação e ativação do Android, consulte Instalar a aplicação Mobile Threat Defense no seu dispositivo móvel. Após a ativação, o utilizador regressa à aplicação gerida e seleciona Continuar para iniciar sessão.

Criar uma política de configuração de aplicações geridas

As definições do Defender nas secções restantes usam uma política de configuração de aplicações geridas no Intune. Pode adicionar várias chaves de configuração do Defender a uma única política quando as chaves se aplicam às mesmas atribuições. Cria políticas separadas quando precisares de definições ou atribuições diferentes.

Para o procedimento completo, consulte Adicionar uma política de configuração de aplicação para aplicações geridas. Esta página abre num novo separador na documentação do Intune.

Ao criar a política, utilize estas definições:

• Tipo de política: No centro de administração Microsoft Intune, na página de Aplicações | Configuração, selecione Criar>aplicações Geridas.

• Separador Basics: Configure as seguintes definições:

  • Direcionar a política para: Verifique se as aplicações selecionadas estão selecionadas.
  • Aplicações públicas: Selecione + Selecione aplicações públicas, encontre e selecione Microsoft Defender Endpoint Android, e depois selecione Selecionar.

• separador Definições: Na secção de Definições Gerais de Configuração, siga os passos seguintes:

  • Adicione os nomes e valores especificados nas secções aplicáveis deste artigo.
  • Adicione DefenderMAMConfigs com um valor de 1 a todas as políticas de Aplicações geridas que configuram o Defender para Endpoint. A exceção é uma política que desativa a integração do utilizador final, onde o valor é 0. Não adicione esta chave a uma política de dispositivos geridos .

Configurar a proteção Web

A proteção web ajuda a proteger os dispositivos contra ameaças e ataques de phishing. São suportados indicadores anti-phishing e personalizados para URLs e domínios. Atualmente, a filtragem de conteúdos Web não é suportada em plataformas móveis.

Utilize o procedimento de política de configuração de aplicações geridas. Adicione as seguintes chaves de configuração na secção Definições gerais de configuração no separador Definições:

• Nome: antiphishing

• Valor:

  • 1: Ativar a proteção anti-phishing.
  • 0: Desativar a proteção anti-phishing.

• Nome: vpn

• Valor:

  • 1: Ativar a rede privada virtual local (VPN) utilizada pela proteção web.
  • 0: Desativar a VPN.

Para desativar toda a proteção web, defina ambas as chaves para 0. Para manter a proteção anti-phishing ativada sem a VPN, defina antiphishing para 1 e vpn para 0.

Configurar a proteção de rede

A proteção de rede deteta ameaças provenientes de redes Wi-Fi e certificados fraudulentos. Para uma visão geral do comportamento das funcionalidades, modos de deteção suportados, controlos de privacidade e experiência de eventos atuais, consulte Configurar proteção de rede.

Utilize o procedimento de política de configuração de aplicações geridas. Adicione as chaves de configuração aplicáveis na secção de definições gerais de configuração no separador Definições :

• Nome: DefenderNetworkProtectionEnable. Ativa ou desativa a proteção da rede. As restantes chaves de proteção de rede só entram em vigor quando esta chave está definida para 1.

• Valor:

  • 0: Desativado.
  • 1: Ativar (por defeito).

• Nome: DefenderAllowlistedCACertificates. Estabelece confiança na autoridade de certificação de raiz (CA) e em certificados autoassinados.

• Valor: Introduza uma string contendo impressões digitais do certificado, ou introduza sem valor (predefinido).

• Nome: DefenderCertificateDetection. Controla a deteção de certificados maliciosos. No modo de auditoria, os eventos são enviados para a linha temporal do dispositivo sem notificar os utilizadores. Quando ativado, os utilizadores recebem notificações e os eventos são enviados para a linha temporal do dispositivo.

• Valor:

  • 0: Desativado (predefinição).
  • 1: Auditoria.
  • 2: Ativar.

• Nome: DefenderOpenNetworkDetection. Controla a deteção de redes abertas. No modo de auditoria, os eventos são enviados para a linha temporal do dispositivo sem notificar os utilizadores. Quando ativado, os utilizadores recebem notificações e os eventos são enviados para a linha temporal do dispositivo.

• Valor:

  • 0: Desativado.
  • 1: Auditoria.
  • 2: Ativar (por defeito).

• Nome: DefenderEndUserTrustFlowEnable. Controla a experiência dentro da aplicação para confiar ou remover a confiança em redes não seguras e certificados maliciosos.

• Valor:

  • 0: Desativado (predefinição).
  • 1: Ativar.

• Nome: DefenderNetworkProtectionAutoRemediation. Controla os alertas de remediação quando os utilizadores tomam ações, como mudar para um ponto de acesso Wi-Fi mais seguro ou eliminar um certificado suspeito.

• Valor:

  • 0: Desativado.
  • 1: Ativar (por defeito).

• Nome: DefenderNetworkProtectionPrivacy. Controla a recolha de dados de proteção de rede. Quando a privacidade é desativada, os utilizadores são convidados a dar consentimento para partilhar dados de Wi-Fi ou certificados maliciosos. Quando a privacidade está ativada, os utilizadores não são solicitados e os dados da aplicação não são recolhidos.

• Valor:

  • 0: Desativado.
  • 1: Ativar (por defeito).

Configurar controlos de privacidade

Os controlos de privacidade podem impedir que o Defender for Endpoint recolha informações de domínio em relatórios de phishing e detalhes de aplicações em relatórios de malware. A informação de rede é controlada separadamente por DefenderNetworkProtectionPrivacyem Configurar proteção de rede.

Utilize o procedimento de política de configuração da aplicação Aplicações Geridas. Adicione uma ou ambas as seguintes chaves de configuração na secção definições gerais de configuração no separador Definições:

• Nome: DefenderExcludeURLInReport

• Valor:

  • 1: Não recolha nomes de domínio ou detalhes inseguros de websites em relatórios de phishing.
  • 0: Recolher nomes de domínio e detalhes de sites Web inseguros (por defeito).

• Nome: DefenderExcludeAppInReport

• Valor:

  • 1: Não recolha nomes de aplicações ou informações de pacotes em relatórios de malware.
  • 0: Recolha nomes de aplicações e informações de pacotes (por defeito).

Configurar a digitalização de ficheiros não-APK

Para além de analisar pacotes de aplicações Android (ficheiros APK), o Defender for Endpoint no Android pode digitalizar ficheiros não-APK, como documentos, arquivos comprimidos e scripts. O Defender for Endpoint respeita os limites dos perfis Android e não consegue aceder a ficheiros no perfil pessoal do utilizador.

Use o procedimento de política de configuração de aplicações de Aplicações geridas. Adicione a seguinte chave de configuração na secção de Definições Gerais de Configuração no separador Definições :

• Nome: EnableNonAPKFileScan

• Valor:

  • 1: Ativar a análise de ficheiros não APK.
  • 0: Desativar a digitalização de ficheiros não-APK (por defeito).

Permissões opcionais

Permissões opcionais permitem aos utilizadores completar a integração sem conceder permissões de VPN ou acessibilidade. Os utilizadores podem rever e conceder estas permissões mais tarde.

Configurar permissões opcionais

Utilize o procedimento de política de configuração de aplicações geridas. Adicione uma ou ambas as seguintes chaves de configuração na secção de definições de configuração gerais no separador Definições:

• Nome: DefenderOptionalVPN

• Valor:

  • 1: Permite aos utilizadores saltar a permissão da VPN durante a integração.
  • 0: Requer permissão VPN durante a integração (predefinido).

• Nome: DefenderOptionalAccessibility

• Valor:

  • 1: Permitir que os utilizadores ignorem a permissão de acessibilidade durante a integração.
  • 0: Requer permissão de acessibilidade durante a integração (predefinido).

Fluxo de utilizador para permissões opcionais durante a integração

Quando as permissões opcionais são ativadas, os utilizadores experienciam o seguinte comportamento:

1. Os utilizadores podem saltar a permissão VPN, a permissão de acessibilidade, ou ambas, e completar a integração.
2. O dispositivo está integrado e envia um batimento cardíaco mesmo quando o utilizador ignora as permissões.
3. A proteção web não está ativa quando ambas as permissões estão desativadas. A proteção web está parcialmente ativa quando o utilizador concede uma das permissões.
4. Mais tarde, os utilizadores podem ativar a proteção web a partir da aplicação Defender. Ativar a proteção web instala a configuração da VPN no dispositivo.

Desativar a opção de terminar sessão

Ocultar o botão de desligamento ajuda a impedir que os utilizadores saiam da aplicação Defender para que o Defender for Endpoint continue a funcionar.

Utilize o procedimento de política de configuração da aplicação Managed apps. Adicione a seguinte chave de configuração na secção de Definições Gerais de Configuração no separador Definições :

• Nome: DisableSignOut

• Valor:

  • 1: Ocultar o botão de terminar sessão.
  • 0: Mostrar o botão de desligamento (predefinido).

Configurar a etiquetagem dos dispositivos

O Defender for Endpoint no Android suporta a marcação em massa de dispositivos móveis durante a integração. Depois de os utilizadores instalarem e ativarem o Defender, a aplicação cliente envia as etiquetas dos dispositivos para o portal do Microsoft Defender. As etiquetas aparecem com os dispositivos no inventário dos dispositivos.

Utilize o Managed apps app configuration policy procedure. Adicione a seguinte chave de configuração na secção de Definições Gerais de Configuração no separador Definições :

• Nome: DefenderDeviceTag

• Valor:

  • Para atribuir uma nova etiqueta, introduza um valor de string para a tag do dispositivo.
  • Para editar uma etiqueta existente, altere o valor.
  • Para eliminar uma etiqueta existente, remova a chave da política.

Desativar a inclusão do utilizador final

O Defender para Endpoint no Android está ativado por predefinição no modo MAM. Para evitar que os utilizadores descarreguem e configurem o Defender em dispositivos não inscritos, utilize o procedimento da política de configuração de aplicações geridas para adicionar a seguinte chave de configuração na secção de Definições Gerais de Configuração no separador Definições:

• Nome: DefenderMAMConfigs

• Valor:

  • 0: Desativar o processo de integração inicial do utilizador final.
  • 1: Ativar a integração do utilizador final (por defeito).

Conteúdo relacionado

• Visão geral da defesa contra ameaças móveis
• Configurar Anéis de Pré-visualização Dinâmica para Microsoft Defender no telemóvel
• Microsoft Intune: Implementar e configurar Microsoft Defender para Endpoint no Android